Installation incorporates automation cells with motor, transformer and 
distributor that conform to European standards for none-trivial safety 
categories 
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Abstract of DE1 0207834 

The installation comprises one or more automation cells, where at least one cell comprises a 
transformer (1) and motor drive (2) together with a distributor. The distributor has signal electronics 
with a microprocessor or controller and a low voltage connection and a field bus connection for data 
exchange with other bus participants and a controller. The transformer drives the motor. A secure 
power supply is provided to the signal electronics according to European standards of category 2, 3 or 
4 from the distributor. Transformer, distributor and motor have a secure power supply according to the 
non-trivial power category so that the whole automation cell can be assigned to the non-trivial safety 
category. The invention also relates to a corresponding method for operating an installation with a 
secure power supply. 
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® Anlage und Verfahren 

@ Anlage, umfassend Automatisierungszellen, und Ver- 
fahren, wobei zumindest eine Automatisierungszelle zu- 
mindest einen mindestens einen Umrichter und Motor 
umfassenden Antrieb und einen Verteiler aufweist, und 
wobei der Verteiler eine Signalelektronik aufweist, die 
mindestens einen Mikroprozessor und/oder Mikrocon- 
troller umfasst, und der Verteiler mindestens einen An- 
schluss fur Niederspannung zur Versorgung seiner Si- 
gnalelektronik umfasst, und wobei der Verteiler minde- 
stens einen Anschluss fur Feldbus zum Datenaustausch 
mit weiteren Feldbusteilnehmern und/oder mit einer 
Steuerung, insbesondere einer zentralen Steuerung, um- 
fasst, und wobei der jeweilige Motor von einem Umrich- 
ter versorgt wird, der mit Netzspannung zur Leistungsver- 
sorgung verbindbar ist, und wobei der Umrichter und der 
Verteiler zum Datenaustausch verbindbar sind, 
und wobei eine sichere Versorgung der Signalelektronik 
^ des Umrichters mit Niederspannung vom Verteiler aus 
^ gemaG einer Sicherheitskategorie vorhanden ist, und wo- 
bei mindestens der Umrichter, der Verteiler und die siche- 
^ re Versorgung gemafc einer Sicherheitskategorie derart 
CO ausgefuhrt sind, dass die gesamte jeweilige Automatisie- 
00 rungszelle die Sicherheitskategorie hat oder ihr eine sol- 
|^ che zuordenbar ist. 
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Beschreibung 

[0001] Die Erfindung betrifft eine Anlage und ein Verfah- 
ren. 

[0002] Aus der EP 1 043 643 sind Zellen, die auch als Au- 5 
tomatisierungszelle bezeichenbar sind, fur Anlagen be- 
kannt. Aus der DE 199 05 952 ist ein Verteiler bekannt, der 
bei einer Automatisierungszelle verwendbar ist, die einen 
Umrichter umfasst. Ein Umrichter versorgt einen Motor mit 
einer derartigen Wechselspannung, dass iiber ein entspre- 10 
chendes Drehfeld im Motor eine Drehbewegung des Rotors 
erzeugbar ist. Ein typisches Bei spiel hierfiir ist aus der 
DE 197 04 226 bekannt. 

[0003] Aus der Norm EN 954-1 und der Norm 
EN 60 204- 1 sind Definitionen fur Sicherheitskategorien, 15 
insbesondere B, 1, 2, 3 oder 4, und Stoppkategorien be- 
kannt. Auf diese Normen wird in der vorliegenden Schrift 
Bezug genommen. Die Sicherheitskategorie B ist eine tri- 
viale Sicherheitskategorie, da entsprechende Vorrichtungen 
den zu erwartenden Einfliissen standhalte soilen, aber bei 20 
Auftreten von Fehlern ein Verlust der Sicherheitsfunktion 
nicht ausschlieBbar ist. Als nichttriviale Sicherheiten wer- 
den die Sicherheitskategorien 2, 3 oder hbhere wie 4 be- 
zeichnet, da dabei zumindest ein Verlust der Sicherheits- 
funktion erkannt wird. 25 
[0004] Aus der Norm EN 1037, S. 3, sind unerwartete, un- 
beabsichtigte oder ungewollte Anlaufc bei Vorrichtungen 
bekannt. 

[0005] Aus der Veroffentlichung Achenbach "Hat sich ge- 
mausert" in Elektrotechnik, 1991, H. 1/1, Seite 28-39, 33 ist 30 
ein Umrichter bekannt, der Uberwachungs- und Steuerfunk- 
tionen aufweist. Aus de Veroffentlichung Fichtner "Antrieb 
mit Eigeninitiative" in Industrie - Elektrik + Elektronik, 
1990, H. 1, S. 50, 51 ist ebenfalls ein Antrieb mit Uberwa- 
chungs funktionen und Sicherhcitsfunktionen bekannt. Je- 35 
doch ist bei beiden Veroffentlichungen bei Ausfall der 24 V 
Niederspannung zur Versorgung der Signalelektronik kein 
sicheres Abschallen des Umrichters vorhanden. Denn ein 
einfacher Fehler kann die Erzeugung eines unkontrollierten 
Drehfeldes zur Folge haben. Somit geniigt der Umrichter 40 
nur der trivialen Sicherheitskategorie B. Gleiches tritt auf 
bei der Veroffentlichung Siemens- Finnenschri ft. 
Nr. A19100-E 319-A365-V1 vom Mai 1989. 
[0006] Aus der DE 41 05 132 CI ist eine kinetische Puffe- 
rung bekannt. Dabei wird bei Netzausfall die Signalelektro- 45 
nik durch Anzapfen des Zwischenkreises des Umrichters 
versorgbar. Somit ist ein weiter kontrollierter Betrieb er- 
moglicht. Allerdings muss die Versorgungsspannung fur die 
Signalelektronik in extrem aufwendiger Weise aus der Zwi- 
schenkreisspannung crzeugt werden und es wird keine indu- 50 
strieubliche 24 V Niederspannung verwendet. Bei Ausfall 
des Zwischenkreises, beispielsweise Kurzschluss, ist durch 
einen einfachen Fehler wiederum ein unkontrolliertes Dreh- 
feld erzeugbar. Somit geniigt auch dieser Umrichter nur der 
trivialen Sicherheitskategorie B. 55 
[0007] Aus der DE 39 28 998 Al ist eine Verbindung un- 
lergeordneter Slcuergruppen bekannt, wobei ein sericller 
und ein paralleler Bus notwendig sind, um bei Ausfall des 
parallelen Busses Sicherheitsinformationen ubertragbar zu 
mac hen. Es ist zwar in dieser Weise fur die Datentibertra- 60 
gung eine nichttriviale Sicherheitskategorie gemaB Norm 
erreichbar, dies gilt aber nur fur die Dateniibertragung und 
nicht fur die Versorgungsspannungen und den Umrichter. 
AuBerdem sind zwei unabhangige, aufwendige und kost- 
spielige Verdrahtungen notwendig. 65 
[0008] Aus der DE 196 43 092 C2 ist ein Bussystem zu 
Ubertragung sicherheitsrelevanter Daten bekannt, das aber 
zwei aufwendige, kostspielige parallele und redundante 
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Busse erfordert. Es ist zwar in dieser Weise fur die Daten- 
iibertragung eine nichttriviale Sicherheitskategorie gemaB 
Norm erreichbar, dies gilt aber nur fur die Dateniibertragung 
und nicht fur Versorgungsspannungen und Umrichter. Au- 
Berdem sind zwei unabhangige, aufwendige und kostspie- 
lige Verdrahtungen notwendig. 

[0009] Entsprechendes gilt auch fur den Ringbus und den 
Sicherheitsbus gemaB DE 38 13 789 Al. 
[0010] Aus der Veroffentlichung "Integralmotor" in Elek- 
trischeMaschinen 1996, H. 12, S. 26, 27 ist ein Kompaktan- 
trieb bekannt, der aber keiner nichttrivialen Sicherheitskate- 
gorie der Norm geniigt. 

[0011] Aus der DE 198 51 186 Al und dern dort darge- 
stellten Stand der Technik ist eine potentialgetrennte Versor- 
gung der Treiber fur die Leistungsschalter einer Endstufe ei- 
nes Umrichters bekannt. Dabei sind Signal- und Strompfad 
potentialgetrennt ausgefuhrt. Jedoch ist die Signalelektronik 
mit zugehdrigern Ansteuer-IC nicht sicher ausgefuhrt. Wenn 
die Versorgungsspannung ausfallt, kann durch einen einzi- 
gen Fehler, beispielsweise eine Fremdspannung am An- 
steuer-IC, ein unkontrolliertes Drehfeld erzeugt werden. So- 
mit geniigt auch dieser Umrichter nur der trivialen Sicher- 
heitskategorie B. 

[0012] Der Erfindung liegt die Aufgabe zugrunde, eine 
Zelle kostengiinstig weiterzubilden unter gleichzeitiger Ein- 
haltung von nichttrivialen Sicherheitskategorien. 
[0013] ErfindungsgemaB wird die Aufgabe bei der Anlage 
nach den in Anspruch 1 angegebenen Merkmalen und bei 
dem Verfahren nach den in Anspruch 11 angegebenen 
Merkmalen geldst. 

[0014] Wcsentlichc Merkmaie der Erfindung bei der An- 
lage sind, dass 

zumindest eine Automatisierungszelle zumindest einen 
mindestens einen Umrichter und Motor umfassenden An- 
trieb und einen Verteiler aufweist, 

und wobei der Verteiler eine Signalelektronik aufweist, die 
mindestens einen Mikroprozessor und/oder Mikrocontroller 
umfasst, und der Verteiler mindestens einen Anschluss fur 
Niederspannung zur Versorgung seiner Signalelektronik 
umfasst, 

und wobei der Verteiler mindestens einen Anschluss fiir 
Feldbus zuin Datcnaustausch mil. weiteren Feldbusleilnch- 
mern und/oder mit einer Steuerung, insbesondere einer zen- 
tralen Steuerung, umfasst, 

und wobei der jeweilige Motor von einem Umrichter ver- 
sorgt wird, der mit Netzspannung zur Leislungsversorgung 
verbindbar ist, 

und wobei der Umrichter und der Verteiler zum Datenaus- 
tausch verbindbar sind, 

und wobei mindestens der Umrichter, der Verteiler und cine 
sichere Versorgung der Signalelektronik des Umrichters mit 
Niederspannung vom Verteiler gemaB einer Sicherheitskate- 
gorie derart ausgefuhrt ist, dass die gesamte jeweilige Auto- 
matisierungszelle die Sicherheitskategorie hat oder ihr cine 
solche zuordenbar ist. 

[0015] Von Vorteil ist dabei, dass ein Antrieb sicher be- 
treibbar ist, insbesondere im Sinne der Normen. Also ist bei 
einem Auftreten eines Fehlers, einem Notfall oder bei einem 
Zustand von Gefahrdung beispielweise ein sicheres Ab- 
schalten des Motors oder ein gesteuertes und sogar ein gere- 
geltes Herunterfahren des Motors gemaB einer Stoppkatcgo- 
rie ermoglicht. Danach ist dann erflndungsgemaB ein Schutz 
gegen Wiederanlauf gegeben. Besonders vorteilhaft ist da- 
bei, dass durch den die Signalelektronik des Umrichters ver- 
sorgenden Verteiler die entsprechende Niederspannung si- 
cher abschaltbar ist und somit das Wiederanlaufen sicher 
verhinderbar. Somit ist die Signalelektronik des Umrichters 
sicher abschaltbar und das vom Umrichter generierte Dreh- 
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feld zur Versorgung des Motors ist zumindest konstant oder 
verschwindet. Auf diese Weise ist also ein kostengunstiges 
sicheres Abschalten des Motors ausfuhrbar, das keine weite- 
ren zusatzlichen MaBnahmen oder weitere Vorrichtungen 
benotigt. 5 
[0016] Eine komplizierte Ausfuhrung, wie beispielsweise 
mehrfach redundant aufgebaute Umrichter zur Versorgung 
eines einzigen Motors, wird vermieden. Somit werden Ko- 
sten eingespart. Des weiteren ist auch der Motor gegen Wie- 
deranlaufen sicher geschutzt. io 
[0017] Da der Umrichter und der Verteiler zum Datenaus- 
tausch verbindbar sind, ist das sichere Abschalten des Dreh- 
feldes auch gemaB einer nichttrivialen Stoppkategorie derar- 
tig ausfiihrbar, dass fur einen ersten Zeitabschnitt ein gere- 
geltes oder ein gesteuertes Herunterfahren der Drehzahl des 15 
Motors ausfiihrbar ist und nach Ablauf dieses ersten Zeitab- 
schnitts ein Abschalten oder wenigstens Konstanthalten des 
Drehfeldes ausfiihrbar ist. Insbesondere ist nach Abschalten 
ein konstantes Drehfeld beispielsweise durch einen Fehler 
erzeugbar. 20 
[0018] Bei einer vorteilhaften Ausgestaltung ist die Si- 
cherheit jeweils durch zwei- oder mehrfach redundante Aus- 
fuhrung bewirkt. und/oder durch Mittcl zum Ausfuhren einer 
Beobachterfunktion ausgefuhrt, wobei nach Beobachten ei- 
nes Fehlers eine Sicherheitsmeldung, insbesondere optisch, 25 
akustisch oder elektrisch ausgefiihrt wird. Von Vorteii ist da- 
bei, dass die Sicherheit in einfacher Weise herstcllbar ist, 
wobei die Risikoanalyse des Systems berucksichtigbar ist. 
[0019] Bei einer vorteilhaften Ausgestaltung ist der Ver- 
teiler mindestens an einen Sicherheitsbus zum Austausch 30 
von sicherhcitsrelevantcn Daten anschlieBbar. Von Vortcil 
ist dabei, dass nicht nur eine Automatisierungszelle sondern 
eine gesamte Anlage in nichttrivialer Sicherheitskategorie 
ausfiihrbar ist. 

[0020] Bei einer vorteilhaften Ausgestaltung ist der Si- 35 
cherheitsbus durch gemaB einer Sicherheitskategorie ver- 
wendbare Hardware und elektrische Leitungen ausgefiihrt. 
Von Vorteii ist dabei, dass auch bei Ausfall des Fcldbusscs, 
beispielsweise Durchtrennung von Feldbusleitungen, noch 
eine Ubertragung von Sicherheitsdaten ausfiihrbar ist. 40 
[0021] Bei einer vorteilhaften Ausgestaltung umfasst der 
Sicherheitsbus Ubertragung von Sicherheitsdaten iiber Lei- 
tungen des Feldbus mindestens bis zum Anschluss fur Feld- 
bus des Verteilers. Von Vorteii ist dabei, dass keine weiteren 
Leitungen fur das Ubertragen sicherheitsrelevanter Daten 45 
ausgefuhrt werden muss. Somit ist die Anlage insgesamt au- 
Berst kostengunstig, 

[0022] Bei einer vorteilhaften Ausgestaltung ist die si- 
chere Niederspannungs-Versorgung der Signalelektronik 
des Umrichters durch den Verteiler nach der genormten Si- 50 
cherheitskategorie 0, 1 oder 2 ausgefuhrt. Von Vorteii ist da- 
bei, dass ein sicheres Abschalten der Niederspannung aus- 
fiihrbar ist und somit das Drehfeld in sicherer Weise ab- 
schaltbar oder bei Auftreten eines Fehlers wenigstens kon- ' 
stant haltbar ist. Somit ist ein sicherer Schutz gegen Wieder- 55 
anlaufen vorhanden. 

[0023] Bei einer vorteilhaften Ausgestaltung bilden der 
Umrichter und der Motor eine bauliche Einheit, insbeson- 
dere einen Kompaktantrieb. Von Vorteii ist dabei, dass der 
Antrieb und somit die Automatisierungszelle kompakt, 60 
iibcrsichtlich und mil geringem Raumbedarf ausfiihrbar ist. 
[0024] Bei einer vorteilhaften Ausgestaltung umfasst der 
Datenaustausch auch den Austausch von Programmen. Von 
Vorteii ist dabei, dass sogar Programme zur Positionierung 
ubertragbar sind. 65 
[0025] Bei einer vorteilhaften Ausgestaltung sind Um- 
richter und Verteiler zum Datenaustausch mit Leitungen 
verbindbar oder Umrichter und Verteiler weisen derartige 
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elektronische Schaltungen auf, dass der Datenaustausch 
zwischen Umrichter und Verteiler durch Aufmodulation auf 
Leitungen ausfuhrbar ist. Von Vorteii ist dabei, dass im er- 
sten Fall eine geringe Anfalligkeit gegen Storspannungen 
vorhanden ist und im zweiten Fall Leitungen unter Erho- 
hung der Ubersichtlichkeit einsparbar sind. 
[0026] Wesentliche Merkmale der Erfindung bei dem Ver- 
fahren sind, dass nach Feststellen eines Fehlers oder Emp- 
fang einer Sicherheitsinformation mindestens ein Antrieb in 
einen sicheren Zustand gemaB einer nichttrivialen Sicher- 
heitskategorie uberfuhrt wird. Von Vorteii ist dabei, dass ein 
sicherer Betrieb kostengunstig ausfuhrbar ist. 
[0027] Bei einer vorteilhaften Ausgestaltung ist das Uber- 
fuhren in einen sicheren Zustand ein gemaB der nichttrivia- 
len Sicherheitskategorie sicheres Abschalten und/oder ein 
sicheres Verharren im abgeschalteten Zustand. Von Vorteii 
ist dabei, dass kein Drehmoment vom Elektromotor, insbe- 
sondere Asynchronmotor, in die Anlage ubertragen wird, 
insbesondere sogar nach Auftreten einer einzigen Fehlspan- 
nung. AuBerdem ist somit ein Schutz gegen das Wiederan- 
laufen gegeben. 

[0028] Bei einer vorteilhaften Ausgestaltung umfasst das 
Uberfuhrcn in einen sicheren Zustand ein gesteuertes oder 
geregeltes Herunterfahren der Winkelgeschwindigkeit des 
Drehfeldes. Von Vorteii ist dabei, dass eine Bremsbeschleu- 
nigung und/oder ein Ruck in der Anlage, beispielsweise bei 
einem Forderband fur mit Fliissigkeit. gcfulltcn Flaschen, 
verminderbar ist. 

[0029] Bei einer vorteilhaften Ausgestaltung wird das 
Uberfuhren in einen sicheren Zustand gemaB einer genorm- 
ten Stoppkategorie sicher gemaB der nichttrivialen Sicher- 
heitskategorie ausgefuhrt. Von Vorteii ist dabei, dass das 
Stoppen sogar sicher mit der Sicherheitskategorie ausfuhr- 
bar und garanlierbar ist. 

[0030] Weitcr vortcilhaftc Ausgestaltungen crgeben sich 
aus den Unteranspriichen. 

[0031] Die Erfindung wird nun anhand von einer Abbil- 
dung nahcr erlautert: 

[0032] In der Fig. 1 ist eine Automatisierungszelle ge- 
zeigt, die einen Motor 2 umfasst, der von einem Umrichter 1 
versorgt wird. Beim Antreiben von mit dem Motor 2 ver- 
bundenen mcchanischcn Komponcnten erzcugt der Umrich- 
ter 1 ein Drehfeld, also ein magnetisches Feld, dessen Rich- 
tung sich im Inneren des Motors 2, also im Bereich des Ro- 
tors, dreht. 

[0033] Die angctriebene mechanischc Anordnung setzt 
die Drehbewegung des Rotors des Motors 2 je nach dem 
Typ der Anlage, also des jeweiligen erfindungsgemaBen 
Ausfuhrungsbeispiels, in eine rotatorische und/oder transla- 
torische Bewegung eines oder mehrerer Objekte um. 
[0034] Der Verteiler 4 umfasst einen T-Knoten ftir die 
Starkstromleitung 5 zur Durchleitung an weitere Verbrau- 
cher und zur Versorgung des Umrichters. AuBerdem umfasst 
der Verteiler 4 auch Signalelektronik 3, die einen Mikrocon- 
troller mit Speicher umfasst. Somit sind vom Verteiler auch 
Programme ausfiihrbar. 

[0035] Der Verteiler 4 umfasst auch Ansehlussc 7 fur 
Feldbusleitung 6. Somit ist der Verteiler als Feldbusteilneh- 
mer betriebsfahig und kann Daten und/oder Programme 
empfangen und/oder senden. Insbesondere wandelt die Si- 
gnalelektronik 3 des Verteilers 4 die fur den Umrichter 1 be- 
stimmten Daten und/oder Programme in ein Systembuspro- 
tokoll um und sendet diese per Datenaustausch 8 an den 
Umrichter 1. Uber diesen Datenaustausch 8 werden auch 
Daten vom Umrichter 1 empfangen. 
[0036] Der Systembus ist herstellerspezifisch und somit 
kompatibel fur die herstellereigenen Gerate. Er weist auch 
eine hohe Dateniibertragungsrate auf und ermdglicht somit 
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auch zeitkritische Ablaufe, wie beispielsweise elektronische 
Kurvensteuerungen oder Echt-Zeit-Anwendungen. 
[0037] Der Datenaustausch 8 ist mit trivialer Sicherheits- 
kategorie B ausgefuhrt. Bei weiteren erfindungsgemaBen 
Ausftihrungsbeispielen ist der Datenaustausch 8 sicher ge- 5 
maB einer nichttrivialen Sicherheitskategorie 2, 3 oder 4 
ausgefuhrt. Somit wird dann sogar ein sicheres gesteuertes 
Herunterfahren des Antriebs ausfuhrbar gemaB einer nicht- 
trivialen Sicherheits- und Stoppkategorie. 
[0038] Der Verteiler 4 weist bei einem Ausfuhrungsbei- 10 
spiel auch Anschlussvorrichtungen fur Ein-/Ausgange auf. 
[0039] Der Datenaustausch 8 ist bei einem ersten erfin- 
dungsgemaBen Ausfiihrungsbeispiel iiber eine Schnittstelle 
RS485 realisiert. Die Leitungen sind dabei separat oder in- 
nerhalb eines Hybridkabels, das auch Starkstromleitungen 5 15 
umfasst, ausfuhrbar. Bei anderen erfindungsgemaBen Aus- 
ftihrungsbeispielen wird der Datenaustausch 8 durch Auf- 
modulation der Informationen auf Starkstromleitungen oder 
durch Infrarotiibertragung ausgefuhrt. 

[0040] Die Signalelektronik 3 des Verteilers 4 wird iiber 20 
einen Anschluss fur Niederspannung mit 24 V versorgt. 
[0041] Uber einen sicheren Ausgang 9 und sichere Leitun- 
gen 10 fur Niederspannung wird die Signalelektronik des 
Umrichters 1 sicher versorgt. Somit ist im Sinne der entspre- 
chenden Sicherheitskategorie der Automatisierungszelle das 25 
sichere Abschalten des Motors 2 und der Schutz gegen das 
Wiederanlaufen gewahrleistet. Der sichere Ausgang 9 ist bei 
einem Ausfiihrungsbeispiel realisiert durch eine zweifach 
oder mehrfach redundante Ausfuhrungsart des Ausgangs 9. 
Die Leitungen 10 sind dabei mit entsprechender Sicherheits- 30 
kalegorie ausgefuhrt, insbesondere ebenfalls mehrfach red- 
undant und/oder beispielsweise im Panzerrohr. 
[0042] Bei einem weiteren Ausfiihrungsbeispiel sind der 
sichere Ausgang 9 und die Leitungen 10 Leitungen 10 reali- 
sierbar, indem Mittcl zum Ausfuhren einer Beobachterfunk- 35 
tion eingebaut werden. Beispielsweise sind als solche Mittel 
weitere Leitungen und Vorrichtungen verwendbar, mit de- 
nen eine Ruckmeldung vorn Umrichter an den Verteiler aus- 
fiihrbar ist, die eine Information fur die Signalelektronik 3 
des Verteilers 4 darstellt mit dem Inhalt, ob die 24 V-Nieder- 40 
spannung zur Versorgung der Signalelektronik des Umrich- 
ters 1 korrekt. vorhanden ist oder nicht. In einem weiteren er- 
findungsgemaBen Ausfiihrungsbeispiel umfassen diese Mit- 
tel auch eine im Verteiler sich befindende Spannungserfas- 
sung der Niederspannung des Umrichters 1. 45 
[0043] Ein wesentlicher Vortcil ist dabei, dass der Um- 
richter in der im Stand der Technik iiblichen Weise ausfuhr- 
bar und verwendbar ist. Es muss daher keine redundante 
Ausfuhrung des Umrichters vorgenommen werden. Somit 
werden solche aufwendige Vorrichtungen eingespart. 50 
[0044] Die sichere Ausfuhrung des Ausgangs 9 und der 
Leitungen 10 ist zwar aufwendig, aber die Gesamtkosten 
sind durch die Verwendbarkeit des genannten Umrichters 2 
erniedrigt. 

[0045] Insbesondere ist bei einem erfindungsgemaBen 55 
Ausfiihrungsbeispiel die Norm EN 954 - 1 erfiillt. Somit ist 
der Automatisierungszelle eine im Gegensatz zum Stand der 
Technik nichttriviale Sicherheitskategorie zuordenbar, ins- 
besondere die Sicherheitskategorie 3. 

[0046] Als Stoppkategorien sind die Stoppkategorien 0 60 
und 1 ausfuhrbar. 

[0047] Bei der Stoppkategorie 0 wird das Drehfeld des 
Antriebs abgeschaltet oder konstant gehalten. Das Konstant- 
Halten ist beispielsweise auch durch einen Fehler, wie eine 
Fehlspannung oder dergleichen, bewirkbar. 65 
[0048] Bei der Stoppkategorie 1 wird das Drehfeld von 
seinem Betriebswert, also beispielsweise einer nicht ver- 
schwindenden Winkelgeschwindigkeit, aus auf einen Si- 
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cherheitswert, insbesondere Ruhen oder Verschwinden des 
Drehfeldes, gesteuert. Nach einem vorgebbaren Zeitab- 
schnitt wird dann das Drehfeld abgeschaltet oder wenigstens 
konstant gehalten. 

[0049] In der Fig, 2 ist ein weiteres Ausfiihrungsbeispiel 
gezeigt, das andere Stoppkategorien ermoglicht. Dabei ist 
der Sensor 21 mit dem Rotor des Motors 2 verbunden und 
als Winkellagegeber ausgebildet. 

[0050] In einem erfindungsgemaBen Ausfiihrungsbeispiel 
ist der Sensor durch zwei induktive Schalter realisiert, die 
um 90° versetzt am Liifter des Motors 2 angeordnet sind. 
Somit werden die digitalen Signale der beiden indukdven 
Schalter iiber die Leitung 22 fur Sensorsignale an digitale 
Eingange des Verteilers 4 geleitet. Die Signalelektronik 3 
des Verteilers 4 bestimmt aus den Signalen einen Wert ftir 
Winkelgeschwindigkeit und die entsprechende Drehrich- 
tung des Rotors. Aus diesen Werten berechnet die Signal- 
elektronik 3 Informationen, die mittels des Datenaustau- 
sches 8 an den Umrichter 1 iibertragen werden. Dadurch ist 
sogar ein geregeltes Herunterfahren des Antriebs ausfuhr- 
bar. 

[0051] Somit ist auch Stoppkategorie 2 ausfuhrbar, bei der 
das Drehfeld von seinem Betriebswert, also beispielsweise 
einer nicht verschwindenden Winkelgeschwindigkeit, aus 
auf einen Sicherheitswert, insbesondere Ruhen oder Ver- 
schwinden des Drehfeldes, geregelt wird. 
[0052] Bei weiteren erfindungsgemaBen Ausfiihrungsbei- 
spielen sind der Sensor 21 und die Leitung 22 sicher gemaB 
einer nichttrivialen Sicherheitskategorie ausgefuhrt. Dann 
ist sogar eine jeweilige Stoppkategorie sicher gemaB der 
nichttrivialen Sicherheitskategorie ausfuhrbar. 
[0053] Bei weiteren Ausftihrungsbeispielen ist als Sensor 
21 statt eines Winkellagegebers ein Drehgeber, Resolver, 
Tacho-Geber oder dergleichen einsetzbar. 
[0054] Bei weiteren Ausfuhrungsbcispiclcn bewirkt statt 
des Winkelgebers ein anderer Sensor 21 eine Ruckmeldung. 
Beispielsweise ist dies ein Endschalter oder eine Menge von 
Gebem, die in der mechanischen Anordnung der Anlage an- 
gebracht sind. Es sind aber auch andere Sensoren, wie bei- 
spielsweise Kamerasy steme mit entsprechender elektroni- 
scher Auswerteinheit, verwendbar. Die Ruckmeldung ist 
also auch indirekt iiber ein Getriebe und einen angetriebe- 
nen Maschinentisch oder dergleichen ausfuhrbar. 
[0055] In der Fig. 3 ist eine Anlage mit mehreren Automa- 
tisierungszellen gezeigt, wobei die jeweiligen Umrichter 
und Motoren nicht eingezeichnet sind. Die Automatisie- 
rungszellen sind dabei mit einem Sicherheitsbus 31 verbun- 
den. 

[0056] Bei einem erfindungsgemaBen Ausfiihrungsbei- 
spiel umfasst der Sicherheitsbus 31 eine Fcldbusvcrkabe- 
lung und zusatzlich eine weitere Verkabelung fur sicher- 
heitsrelevante Informationen. Die letztgenannte Verkabe- 
lung ist mit der Sicherheitskategorie entsprechenden siche- 
ren Auswertecinheitcn in den jeweiligen Verteilern 4 zur 
Auswertung und Verarbeitung verbunden. 
[0057] Bei einem weiteren erfindungsgemaBen Ausfiih- 
rungsbeispiel umfasst. der Sicherheitsbus 31 nur eine einfa- 
che Feldbus verkabelung, wobei die sicherheitsrelevanten 
Informationen als spezielles Sicherheitstelegramm iibertra- 
gen werden. Somit sind keine zusatzlichen Leitungen zum 
Feldbus 6 nach den Fig. 1 oder 2 erforderlich. Spcziell fur 
die Auswertung und Verarbeitung der sicherheitsrelevanten 
Informationen sind elektronische Komponenten innerhalb 
der Signalelektronik 3 des Verteilers vorgesehen. Somit ist 
ein gemaB der nichttrivialen Sicherheitskategorie, insbeson- 
dere 3, Datenaustausch zwischen den Automatisierungszel- 
len in kostengiinstiger Weise verwirklicht. 
[0058] Auf diese Weise ist nun eine gesamte Anlage ge- 
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maB der Sicherheitskategorie, insbesondere 3, in kostengun- 
stiger Weise ausgebildet. 

[0059] In der Fig. 4 ist eine erfindungsgemaBe Ausfuh- 
rungsform des Umrichters gezeigt. Die Endstufe 51 umfasst 
einen Zwischenkreisgleichrichter 50 der von den Stark- 5 
stromleitungen 5 versorgt wird und die Zwischenkreisspan- 
nung bildet, die die Endstufe 51, umfassend sechs Lei- 
stungshalbleiter, versorgt. In der Fig. 4 sind nur ein oberer 
und ein unterer, beispielhaft als IGBT ausfuhrbarer Lei- 
stungshalbleiter (44, 45) mit jeweiliger Freilaufdiode ge- 10 
zeigt. 

[0060] Vom Verteiler 4 fuhren die Leitungen 10 fur Nie- 
derspannung zum Schaltnetzteil 49, das zur Potentialtren- 
nung 41 die Primarwicklung 52 eines Trenntransformators 
versorgt. Mehrere Sekundarwicklungen 53 versorgen einer- 15 
seits den Microcontroller 47 und den Treiber 48 fiir die un- 
teren Schalter 44, andererseits bilden drei Sekundarwicklun- 
gen 53 mit einer Diode und einem Kondensator jeweils 
Quellen 46 zur Versorgung der Treiber 43, die mittels Opto- 
kopplern vom Mikrocontroller 47 angesteuert werden, da 20 
sie auf einem hohen, von der Zwischenkreisspannung be- 
stimmten Potential liegen. 

[0061] Der Datenaustausch 8 fuhrt uber den Optokoppler 
42 potentialgetrennt zum Microcontroller 47. 
[0062] Ein Abschalten der uber die Leitungen 10 zuge- 25 
fuhrten 24 V-Niederspannung fiihrt also zum Abschalten der 
Quellen 46 und zum Abschalten des Mikrocon trailers 47 
und der Treiber 48. Das Drehfeld ist also abgeschaltet und 
gegen Wiederanlauf geschiitzt, obwohl der Umrichter noch 
uber die Starkstromleitungen 5 versorgt ist. 30 
[0063] Selbst dann, wenn eine Fremdspannung cingeleitet 
wird, wird kein Drehfeld erzeugt. Denn es konnte zwar ein 
Treiber 48 oder 47 versorgt sein, dies wiirde aber nur bewir- 
ken, dass Motorphasen U Spannung fuhren. Ein Drehfeld ist 
nicht vorhanden und ein Wicderanlaufen verhindert. 35 
[0064] Erst beim Auftreten mehrerer Fehler, also ver- 
schiedenen Fremdspannungen an verschiedenen Stellen ist 
die Erzcugung eines Drehfeldes prinzipiell moglich, wenn 
auch extrem unwahrscheinlich. 

[0065] Bei erhndungsgemaBen Ausfiihrungsformen ist 40 
der Umrichter derart ausgefLihrt, dass das sichere Abschal- 
ten und/oder der Schutz gegen Wiederanlauf bloB durch Be- 
einflussung von elektronischen Halbleiterschaltern im Um- 
richter vorgesehen ist. Zu diesen Halbleiterschalter zahlen 
die elektronischen Leistungsschalter 44, 45 der Endstufe 51. 45 
Die Steuersignale fur die Endstufe wird nach Abschaltung 
der Versorgung der Treiber 43, 48 sicher verhindert. Diese 
Versorgung und die Versorgung des Mikrocontrollers 47 
wird unterbrochen, wenn die 24 V-Niederspannung s- Ver- 
sorgung liber die Leitungen 10 unterbrochen wird, bcispicls- 50 
weise durch sicheres, von der weiteren Vorrichtung ausge- 
fuhrtes Abschalten der 24 V-Niederspannungs- Versorgung. 
[0066] Wesentlicher Vorteil ist bei der Erfindung, dass das 
Abschalten inncrhalb des Umrichters verschleiBfrci ausge- 
fuhrt ist, insbesondere ohne Relais. AuBerdem wird bei der 55 
erfindungsgemaBen Ausfuhrung des Umrichters kein zu- 
satzlicher Platz bcnotigl, Gcradc dies begunstigt die Aus- 
fiihrbarkeit und Verwendung eines kompakten Umrichter- 
motors, bei dem Motor und Umrichter eine bauliche Einheit 
bilden und die raumsparende Ausfuhrung den Umrichter- 60 
motor auch in sicheren Anlagcn einsatzfahig tnacht. 

Bezugszeichenliste 

1 Umrichter 65 

2 Motor 

3 Signalelektronik des Verteilers 

4 Verteiler 
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5 Starkstromleitung, T-formige Starkstromleitung 

6 Feldbusleitung 

7 Anschluss fiir Feldbus 

8 Datenaustausch 

9 sicherer Ausgang, insbesondere fur 24 V 

10 sichere Leitung fiir Niederspannung, insbesondere 24 V 

21 Sensor 

22 Leitung fur Sensorsignale 
31 Sicherheitsbus 

41 Potentialtrennung 

42 Optokoppler 

43 Treiber mit Optokoppler 

44 Unterer Schalter 

45 Oberer Schalter 

46 Quelle 

47 Microcontroller 

48 Treiber 

49 Schaltnetzteil 

50 Zwischenkreisgleichrichter 

51 Endstufe 

52 Primarwicklung 

53 Sekundarwicklung 
U Motorphasc 

Patentanspriiche 

1. Anlage, umfassend eine oder mehrere Automatisie- 
rungszellen, 

wobei zumindest eine Automatisierungszelle zumin- 
dest einen mindestens einen Umrichter und Motor um- 
fassenden Antrieb und einen Verteiler aufweist, 
und wobei der Verteiler eine Signalelektronik aufweist, 
die mindestens einen Mikroprozessor und/oder Mikro- 
controller umfasst, und der Verteiler mindestens einen 
Anschluss fur Niederspannung zur Versorgung seiner 
Signalelektronik umfasst, 

und wobei der Verteiler mindestens einen Anschluss 
fur Feldbus zum Datenaustausch rait weiteren Feldbus- 
teilnehmern und/oder mit einer Steuerung, insbeson- 
dere einer zentralen Steuerung, umfasst, 
und wobei der jeweilige Motor von einem Umrichter 
versorgt wird 

und wobei der Umrichter und der Verteiler zum Daten- 
austausch verbindbar sind, 

und wobei eine gemaB Norm, insbesondere gemaB 
deutscher und/oder curopaischer Norm EN 954-1 und/ 
oder EN 60 204-1, sichere Versorgung der Signalelek- 
tronik des Umrichters mit Niederspannung vom Vertei- 
ler aus gemaB einer nichttrivialen Sicherheitskategorie, 
insbesondere gemaB Sicherheitskategorie 2, 3 oder 4, 
vorgesehen ist, 

und wobei mindestens der Umrichter, der Verteiler und 
die sichere Versorgung gemaB einer nichttrivialen Si- 
cherheitskategorie derart ausgefuhrt ist, dass der ge- 
samten jeweiligen Automatisierungszelle als Ganzes 
die nichttriviale Sicherheitskategorie zuordenbar ist. 

2. Anlage nach mindestens einem der vorangegange- 
nen Anspriiche, dadurch gekennzeichnet, dass zum Er- 
reichen der Sicherheitskategorie jeweils zwei- oder 
mehrfach redundante Ausfuhrung von Komponenten 
oder Teilsystcmen vorgesehen sind und/oder dass zum 
Erreichen der Sicherheitskategorie Mittel zum Ausfuh- 
ren einer Beobachterfunktion vorgesehen sind. 

3. Anlage nach mindestens einem der vorangegange- 
ncn Anspriiche, dadurch gekennzeichnet, dass nach Er- 
kennen eines Fehlers eine Sicherheitsmeldung, insbe- 
sondere optisch, akustisch oder elektrisch ausgefiihrt 
wird. 



DE 102 07 834 A 1 



4. Anlage nach rnindestens einem der vorangegange- 
nen Anspriiche, dadurch gekennzeichnet, dass und wo- 
bei der Verteiler rnindestens an einen Sicherheitsbus 
zum Austausch von sicherheitsrelevanten Daten an- 
schlieBbar ist. 5 

5. Anlage nach rnindestens einem der vorangeg an ge- 
nen Anspriiche, dadurch gekennzeichnet, dass der Si- 
cherheitsbus durch gernaB einer Sicherheitskategorie 
verwendbare Hardware und elektrische Leitungen aus- 
gefuhrt ist. 10 

6. Anlage nach einem der Anspriiche 1 bis 4, dadurch 
gekennzeichnet, dass der Sicherheitsbus tJbertragung 
von Sicherheitsdaten uber Leitungen des Feldbus rnin- 
destens bis zum Anschluss fur Feldbus am Verteiler 
umfasst. 15 

7. Anlage nach rnindestens einem der vorangegange- 
nen Anspriiche, dadurch gekennzeichnet, dass die si- 
chere Versorgung des Umrichters durch den Verteiler 
nach der genormten Sicherheitskategorie 2, 3 oder 4 
ausgefuhrt ist. 20 

8. Anlage nach rnindestens einem der vorangegange- 
nen Anspriiche, dadurch gekennzeichnet, dass der Um- 
richter und der Motor eine baulichc Einheit, insbcson- 
dere einen Umrichtermotor, bilden. 

9. Anlage nach rnindestens einem der vorangegange- 25 
nen Anspriiche, dadurch gekennzeichnet, dass der Da- 
tenaustausch auch den Austausch von Programmer! 
umfasst. 

10. Anlage nach rnindestens einem der vorangegange- 
nen Anspriiche, 30 
dadurch gekennzeichnet, dass 

Umrichter und Verteiler zum Datenaustausch mit Lei- 
tungen verbindbar sind 

oder dass Umrichter und Verteiler derartige elektroni- 
sche Schaltungen aufweisen, dass der Datenaustausch 35 
zwischen Umrichter und Verteiler durch Aufmoduia- 
tion auf Leitungen ausfiihrbar ist. 

11. Vcrfahren zum Betreiben einer Anlage nach rnin- 
destens einem der vorangegangenen Anspriiche, da- 
durch gekennzeichnet, dass nach Erkennen eines Fen- 40 
lers und/oder Empfang einer Sicherheitsinformation 
rnindestens ein Antrieb in einen gernaB einer nichttri- 
vialen Sicherheitskategorie sicheren Zustand uberfuhrt 
wird. 

12. Verfahren nach Anspruch 11, dadurch gekenn- 45 
zeichnet, dass das Uberfuhren in den sicheren Zustand 
ein gernaB der nichttrivialen Sicherheitskategorie si- 
cheres Abschalten und/oder ein sicheres Verharren im 
abgeschalteten Zustand ist. 

13. Verfahren nach rnindestens einem der vorangeg an- 50 
genen Anspriiche, dadurch gekennzeichnet, dass zum 
Uberfuhren in den sicheren Zustand zumindest ein ge- 
steuertes oder geregeltes Herunterfahren der Winkelge- 
schwindigkeit des Drehfeldes ausgefuhrt wird. 

14. Verfahren nach rnindestens einem der vorangeg an- 55 
genen Anspriiche, dadurch gekennzeichnet, dass das 
Uberfuhren in einen sicheren Zustand gernaB einer 
Stoppkategorie gernaB Norm sicher gernaB der nichttri- 
vialen Sicherheitskategorie ausgefuhrt wird. 

60 
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